#Bonzo Finance oracle exploit *#BonzoFinance Oracle Exploit*
*Ne Oldu, Nasıl Çalıştı ve 2026'da DeFi Güvenliği İçin Ne Anlama Geliyor*
DeFi, kodlara olan güven üzerine inşa edilmiştir. Bu kodlar oynatıldığında, güven hızlıca kırılır.
Bu hafta, *Bonzo Finance, anormal likidasyonlara ve yaklaşık 18 milyon dolarlık kullanıcı kayıplarına neden olan bir oracle istismarını* bildirdi. Protokol, tüm piyasaları durdurdu, bir araştırma başlattı ve şimdi fonları izlemek için güvenlik firmaları ve hukuk uygulama organlarıyla çalışıyor.
Bu, ilk oracle istismarı değil. Son da olmayacak. Ancak detaylar önemlidir, çünkü DeFi'nin hâlâ zayıf olduğu ve daha güçlü hale geldiği noktaları gösterir.
İşte profesyonel bir analiz.
### *1. Bonzo Finance Nedir?*
Bonzo Finance, büyük bir EVM zincirindeki bir kira ve ödünç alma protokolüdür. Kullanıcılar, ETH, USDC ve BTC gibi varlıkları teminat olarak yatırır ve bunlara karşı diğer varlıkları ödünç alır.
Aave ve Compound gibi, Bonzo da teminat değerini belirlemek için *fiyat oracle'larına* dayanır. Teminatınız bir eşiğin altına düşerse, protokol kredi verenleri korumak için onu likidasyona tabi tutar.
Tüm sistem, bir varsayıma dayanır: oracle fiyatı doğrudur.
### *2. İstismarda Ne Oldu?*
Bonzo'nun güvenlik ekibi tarafından yayınlanan post-mortem'e göre:
*Adım 1: Fiyat Manipülasyonu*
Saldırgan, oracle'ın referans olarak kullandığı düşük likiditeye sahip bir işlem çiftini hedefledi. Bir flash kredisi kullanarak, Asset X'in fiyatını tek bir blokta bir DEX'te %42 düşürdü.
*Adım 2: Oracle Latch*
Bonzo'nun oracle'ı bu DEX'ten güncellendi. Havuz inceydi ve oracle'ın TWAP penceresi kısaydı, bu nedenle kötü fiyat "doğru" olarak kabul edildi.
*Adım 3: Zorunlu Likidasyonlar*
Protokol, birçok hesabı teminatsız olarak gördü. Manipüle edilen fiyata göre likidasyon tetiklendi. Saldırgan veya saldırganla çalışan botlar, %40'tan fazla indirimli fiyatlardan teminatları satın aldı.
*Adım 4: Fiyat Geri Dönüşü*
Bloktan sonra fiyat normal seviyeye döndü. Ancak likidasyonlar geri alınamazdı. Kullanıcı teminatlarının 18 milyon doları, piyasa değerinden çok daha düşük fiyatlara satıldı.
Toplam protokol iflası: $0. Bonzo'nun sigorta fonu, kredi verenlerin eksikliklerini kapattı. Kullanıcı kayıpları likidasyonlardan kaynaklandı.
### *3. Bu Neden Çalıştı?*
Bu, klasik bir "oracle manipülasyonu" saldırısıdır. 3 koşul mevcut olduğunda çalışır:
*1. Düşük Likidite Referansı*
Oracle, temel kaynak olarak $2 milyondan az likiditeye sahip bir DEX havuzunu kullandı. Bu, $5 milyon - $10 milyon ile kolayca hareket ettirilebilirdi.
*2. Kısa Zaman Penceresi*
TWAP 10 dakikaydı. Volatil piyasalarda bu, bir flash çöküşünü yumuşatmak için yeterli değildir.
*3. Devre Kesiciler Yoktu*
"Diğer kaynaklara göre fiyat sapması > X%" gibi bir kontrol yoktu. Oracle, tek bir kaynağa güveniyordu.
Bu, bir akıllı sözleşme hatası değil. Kod yazıldığı gibi çalıştı. Ekonomik tasarım hatasıydi.
### *4. Yanıt: Bonzo'nun Doğru Yaptıkları*
4 saat içinde Bonzo:
1. Daha fazla hasar önlenmesi için *tüm piyasaları durdurdu*
2. Saldırganla ilişkili *cüzdan adreslerini yayınladı*
3. Tam bir inceleme için *3 denetim firması ile işbirliği yaptı*
4. *Kasadan ve gelecekteki ücretlerden* oluşan bir tazminat planı duyurdu
5. *Çok kaynaklı*, 1 saatlik TWAP ve sapma kontrolleriyle *oracle'ları değiştirdi*
Ayrıca, çalınan fonları takip etmek için zincir analiz firmalarına raporlar sundu.
Bu, olay yanıtının yeni standardıdır. Hızlı, şeffaf ve kullanıcılar için bir planla.
### *5. Bu, DeFi Güvenliği İçin Ne Anlama Geliyor?*
Oracle istismarları, köprü hilelerinden sonra DeFi kayıplarının #2 nedenidir. Her protokolün öğrenmesi gerekenler şunlardır:
*Çoklu Kaynaklar Kullanın*
Bir oracle tek bir DEX'e dayanmamalıdır. Chainlink, Pyth ve 2-3 DEX kullanın, ardından medyanı alın.
*Daha Uzun TWAP'ler*
10 dakika volatil varlıklar için çok kısadır. 1 saat veya daha fazlası daha güvenlidir.
*Devre Kesiciler*
Fiyat, diğer kaynaklara göre 1 blokta %15'ten fazla hareket ederse, durdurun ve yönetim incelemesi gerektirin.
*Likidite Gereksinimleri*
Yalnızca $50 milyondan yüksek havuzları kullanın. Mevcut değilse, varlığı listelemeyin.
*Sigorta ve Kasa*
Bonzo'nun sigorta fonu kredi verenleri kurtardı. Bir istismardan sonra sigortası olmayan protokoller ölür.
### *6. Kullanıcılar ve Piyasa Üzerindeki Etki*
*Bonzo Kullanıcıları İçin*: Likidasyona uğradıysanız, kaybettiniz. Tazminat planı, protokol gelirinden 6 ay içinde %60-80'ini kapsayacak. İdeal değil ama sıfırdan iyidir.
*Kredi Verenler İçin*: Kayıp yok. Sigorta fonu tasarlandığı gibi çalıştı.
*Sektör İçin*: Bonzo'daki TVL, 24 saat içinde %35 düştü. Diğer kira protokollerine kullanıcılar "daha güvenli" markalara yönlendirildi.
Piyasalar bunu "sınırlı" olarak değerlendirdi. Büyük varlıklara bulaşma olmadı. Ancak duygu etkilendi.
### *7. Daha Büyük Görünüm: Kırık Değil, Olgunlaşan*
Her finansal sistemde istismarlar vardır. Bankalar da dolandırıcılık yapar. Hisse senedi piyasalarında flash çöküşler olur. DeFi'de oracle saldırıları vardır.
Fark hızdır. DeFi'de bir istismar 12 saniyede gerçekleşir ve herkes bunu zincir üzerinde görür.
İyi haber: endüstri daha hızlı yanıt veriyor. 2020'de bunu kabul etmek 2 hafta sürerdi. 2026'da 4 saat sürdü.
Ayrıca daha iyi araçlar görüyoruz:
- Gerçek zamanlı oracle izleme
- Ekonomik güvenlik denetimleri
- Zincir üzerinde devre kesiciler
- P
